リード獲得で必要な同意項目一覧｜個人情報を正しく預かる

「フォームにプライバシーポリシーへの同意チェックボックスを置いたので、個人情報の取り扱いは問題ない」——リード獲得の現場でよく聞く認識ですが、これは順序が逆です。個人情報保護法が事業者に最初に求めているのは同意の取得ではなく、利用目的を特定し（法17条）、取得時に本人へ通知または公表すること（法21条1項）です。逆に言えば、チェックボックスがあっても利用目的が書かれていなければ、法が求める中心部分が満たされていない可能性があります。プライバシーマークの解説記事も、お問い合わせフォームへの同意ボタンは法律上絶対に必須というわけではないと述べています。必須ではないが望ましい場面と、同意がなければ進められない場面がある——この区別が実務の要点です。本記事では、リード獲得で押さえるべき同意項目を法の条文に沿って一覧化し、フォーム設計の手順、共催セミナーや展示会でのリード共有、プライバシーポリシーの記載事項、保有期間と削除、開示請求への備え、そして2026年7月に公布された改正法の内容までを整理します。なお本記事は一般的な整理であり、個別の判断は弁護士等の専門家に確認してください。

「チェックボックスを置けば同意は取れている」という誤解

最初に誤解を解いておきます。個人情報保護法は、個人情報を取得するすべての場面で本人の同意を要求しているわけではありません。求められているのは、利用目的をあらかじめ特定し（法17条）、取得に際して本人に通知するか公表すること（法21条1項）です。フォームからの取得であれば、フォームの近くに利用目的を明示し、プライバシーポリシーへ導線を張ることで、この要請には対応できると整理されています。

では同意はなぜ求められるのか。プライバシーマークの解説記事は、フォームへの同意ボタンは法律上絶対に必須ではないとしつつ、同意が必要な場合もあるため注意が必要だと述べています。実務的な理由は2つあります。第一に、後で第三者提供や目的外利用が必要になったときに、同意を取っていなければ動けないこと。第二に、同意を取った事実を記録として残せることです。つまりチェックボックスは、法の最低要件ではなく将来の選択肢を確保する手当てという位置づけになります。

ここを取り違えると、典型的な失敗が起きます。チェックボックスは置いてあるのに、同意の対象となる利用目的がフォーム上に書かれていない。あるいは「プライバシーポリシーに同意する」という文言だけで、そのポリシーに営業連絡やメール配信が利用目的として書かれていない。同意の器だけ用意して、中身を書き忘れている状態が、実は最も多く見られるパターンです。

法が最初に求めるのは利用目的の特定

出発点は法17条の利用目的の特定です。特定の程度については、「一般的かつ合理的に想定できる程度に特定する」ことが求められると解説されています。「事業活動に用いるため」といった記述では特定されたとは言えず、本人が自分の情報がどう使われるかを想像できる粒度が必要になります。リード獲得の文脈では、資料送付・営業担当からの連絡・メールマガジンの配信・製品開発の参考といった単位まで書き下すのが実務的な形です。

あわせて押さえておきたいのが、目的の変更に制約があることです。一度公表した利用目的から、「関連性を有すると合理的に認められる範囲」を超えた変更はできないと整理されています。この範囲を超えて使いたい場合は、法18条により本人の同意が必要になります。つまり後から使い道を広げるのは簡単ではありません。だからこそ、最初に書く利用目的の設計が重要になります。

実務での書き方のコツは、将来使う可能性のある用途を先に織り込むことです。ただし「あらゆる目的」といった包括的な記述は特定の要件を満たさないとされるため、用途を列挙する形で広げます。たとえば資料請求フォームであれば、資料の送付、問い合わせへの対応、営業活動としての連絡、自社サービスの案内、統計データの作成——というように、想定される用途を具体的に並べます。

取得時の通知・公表をフォームでどう満たすか

法21条1項は、個人情報を取得したときに速やかに利用目的を本人に通知するか公表することを求めています。フォームでの取得の場合、実務では次の3つを組み合わせて対応するのが一般的です。第一に、フォームの送信ボタン付近に利用目的の要約を直接書く。第二に、プライバシーポリシーへのリンクを同じ画面に置く。第三に、送信完了画面や自動返信メールでも利用目的に触れる。

重要なのは、本人が「読める場所」に置かれているかです。プライバシーポリシーへのリンクをフッターの小さな文字にだけ置いている場合、本人が容易に知り得る状態と言えるかは疑問が残ります。リンクは同意文の直近に配置し、リンク先で該当箇所にすぐ到達できる構成にしてください。ページを開いてから利用目的の記述までスクロールが必要な長さのポリシーは、見出しやアンカーリンクで到達性を上げます。

フォームの構成については、複数の同意をまとめて取る設計に注意が必要とされています。フォーム提供サービスの解説記事は、利用規約とプライバシーポリシーの表示画面は分けるべきで、一つの画面でまとめて同意を取るのは推奨されないと述べています。同意の対象が何かを本人が把握できる形にする——これが設計の基本方針です。何に対する同意なのかが曖昧な同意は、後から根拠として使いにくいという点も念頭に置いてください。

同意が本当に必要になる場面

では、同意が必須になるのはどこか。主要な場面を整理すると次のようになります。第一に第三者提供（法27条1項）——本人以外の事業者へ個人データを渡す場合は、原則として本人の同意が必要です。第二に目的外利用（法18条）——公表した利用目的の範囲を超えて使う場合。第三に要配慮個人情報の取得——人種・信条・病歴などにあたる情報は、取得の時点で本人の同意が必要とされています。

リード獲得の現場で最も関わるのは、第一の第三者提供です。共催セミナーで相手方にリードを渡す、代理店に見込み客の情報を共有する、広告出稿先にリストを渡す——いずれも第三者提供に該当し得ます。この場面で同意を取っていないと、リードを渡せないという結論になります。共催イベントを企画してから慌てるのではなく、通常のフォームの段階で選択肢を確保しておくのが実務的な備えです。

なお、第三者提供にはオプトアウトという方式もあります。ただしこの方式を採る場合は、あらかじめ本人に通知するか容易に知り得る状態に置き、かつ個人情報保護委員会へ届け出る必要があるとされ、手続きは軽くありません。BtoBのリード獲得で通常使う手段ではないため、原則は同意を取る方式で設計してください。

フォームの同意項目一覧：必須と任意の切り分け

ここまでを踏まえて、リード獲得フォームに置く同意項目を整理します。ポイントは「サービス提供に必要な同意」と「追加の活用に必要な同意」を分けることです。前者を任意にすると業務が回らず、後者を必須にすると本人の選択の自由を実質的に奪うことになります。

同意・明示の項目	必須／任意の考え方	書き方の要点
利用目的の明示	同意ではなく明示が必須（法21条1項）	資料送付・問い合わせ対応・営業連絡など用途を列挙して書く
プライバシーポリシーへの同意	実務上は必須にすることが多い	同意文の直下にチェックボックスを置き、リンクを近接配置する
メールマガジン・案内メールの受信	任意にする（受信しない人も申込できる状態）	初期状態でチェックを入れない。配信停止の方法も併記する
共催相手・グループ会社への提供	第三者提供にあたる場合は個別の同意が必要	提供先の範囲と提供する項目、提供先での利用目的を明示する
共同利用として扱う場合	同意は不要だが事前の通知・公表が必須	共同利用の5項目をプライバシーポリシー等に記載する
16歳未満が申込む可能性がある場合	改正法では原則として法定代理人の同意が必要となる	BtoBでは想定しにくいが、対象が学生等に及ぶ場合は設計を確認する

表の3行目に挙げたメール受信の同意は、初期状態でチェックを入れない設計が基本です。あらかじめチェックが入った状態は、本人が意識せず同意したことになりやすく、望ましくない設計とされます。なお、BtoBの営業メールについては特定電子メール法の規律も別に関わってきます。個人情報保護法の同意とメール配信の同意は別の論点なので、それぞれ確認してください。

手順：フォーム1本を整える5ステップ

実際にフォームを見直すときの手順に落とします。既存のフォームがある場合も、この順序で確認すると抜けを見つけやすくなります。

5番目の記録が、実務では最も後回しにされます。しかし開示請求や苦情の申出があったときに、いつどの内容に同意してもらったかを示せるかどうかが対応の分かれ目になります。フォームツール側に同意記録の機能があるかを確認し、なければ送信データにポリシーのバージョン番号を含める運用を組んでください。

利用目的の書き方：どこまで具体的に書くか

利用目的の記述は、抽象的すぎても具体的すぎても実務が回りません。抽象的すぎると特定の要件を満たさず、具体的すぎると業務のたびに書き換えが必要になります。目安は本人が「自分の情報が何に使われるか」を想像できる粒度です。以下は資料請求フォームでの記述例の骨格です。

【取得した個人情報の利用目的】
・ご請求いただいた資料・情報の送付
・お問い合わせ、ご依頼への対応およびご連絡
・当社サービスに関するご案内・ご提案（営業活動としてのご連絡を含みます）
・セミナー・イベントのご案内
・当社サービスの改善、および個人を特定しない統計データの作成
・共催イベントにお申込みの場合、共催者への提供（提供先・提供項目は申込時に明示します）

最後の行のように、第三者提供が生じ得る場合は利用目的の段階で触れておくと、後の運用が楽になります。ただし利用目的に書いてあることが第三者提供の同意になるわけではない点に注意してください。提供には別途、法27条1項に基づく同意（または共同利用等の枠組み）が必要です。利用目的への記載と、第三者提供の同意は別の手続きとして扱ってください。

記述を作ったあとの確認ポイントは3つです。第一に、実際にやっている業務が全部カバーされているか。第二に、書いてあるのにやっていない用途がないか（不要な記述は削る）。第三に、社内の他フォームやポリシーと矛盾していないか。フォームごとに利用目的が微妙に違う状態は、改定のたびに漏れを生むため、共通の記述をベースに差分だけ変える形にするのが管理しやすい形です。

第三者提供・委託・共同利用の違い

リードを社外と共有する場面では、3つの枠組みを区別する必要があります。整理すると次のようになります。判断を誤ると、同意なしで提供してしまったり、逆に不要な同意取得で申込率を落としたりします。

枠組み	どういう場合か	本人の同意	通知・公表
第三者提供（法27条1項）	委託・共同利用以外で他の事業者へ渡す場合	原則として必要	不要（オプトアウト方式を採る場合は事前通知と委員会への届出が必要）
委託	提供先が提供元の利用目的の範囲内でのみ扱い、独自の目的では使わない場合	不要	不要（委託元に委託先の監督義務がある）
共同利用（法27条5項3号）	本人から見て提供元と一体として扱われることに合理性がある範囲での利用	不要	必要（あらかじめ通知または容易に知り得る状態に置く）

委託の典型例は、フォームの入力業務、メール配信ツール、データ分析処理、名刺のデータ化サービスなどです。提供先が自社の目的のためにデータを使わないことが条件で、この場合は同意も公表も不要とされます。ただし委託元には委託先の監督義務があり、適切な選定・契約の締結・取扱状況の把握が求められます。「同意不要だから何も要らない」ではありません。

共同利用は、グループ会社間や共同研究、イベントの共催者間などで使われる枠組みです。同意は不要ですが、あらかじめ通知するか本人が容易に知り得る状態に置くことが要件になります。この事前の手当てを飛ばして「共同利用です」と後から主張することはできません。使うつもりがあるなら、プライバシーポリシーに先に書いておく必要があります。

共催セミナー・展示会でリードを共有するときの手当て

実務で最も判断が必要になるのが、共催セミナーと展示会です。共催セミナーで集めた申込者情報を双方で使う場合、選択肢は2つあります。第一に第三者提供として個別に同意を取る方式。申込フォームに「本セミナーの申込情報を共催者〇〇株式会社へ提供し、同社の営業活動にも利用されること」への同意チェックを置きます。提供先の名称、提供する項目、提供先での利用目的を明示します。

第二に共同利用として枠組みを作る方式です。共同利用として扱う場合、あらかじめ通知または容易に知り得る状態に置くべき項目として、共同利用する旨、共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的、そして当該個人データの管理について責任を有する者の氏名または名称・住所（法人の場合は代表者の氏名）が挙げられています。この5項目を記載しないと、共同利用の要件を満たさないと整理されます。

展示会での名刺交換については、名刺の交換自体が事業上の連絡を前提とした行為であることから、通常の営業連絡は想定の範囲内と考えられる一方で、取得した情報をどの範囲で使うかは自社の利用目的の記載に依存します。共同出展者と名刺情報を共有するなら、共催セミナーと同じ整理が必要です。実務としては、ブースに利用目的の掲示を置き、名刺をスキャンする際の運用ルールを決めておくのが安全側の対応になります。イベントごとに判断するのではなく、共有パターンを事前に型として決めておくと、開催直前の混乱を避けられます。

• 共催の相手方と、どちらが取得主体になるのかを企画段階で決める（両者で取得するのか、一方が取得して他方へ提供するのか）
• 共同利用の枠組みを使うなら、プライバシーポリシーの改定が先。イベント開始後の追記では要件を満たさない可能性がある
• 提供する項目は必要最小限に絞る。全項目を渡す前提にせず、社名・氏名・メールアドレスなど用途に必要な範囲で設計する
• 個別の案件でどの枠組みが妥当かは事実関係で変わるため、判断に迷う場合は法務や弁護士に確認する

プライバシーポリシーに書くべき項目

プライバシーポリシーは、法32条1項が定める公表事項の受け皿として機能します。記載すべき項目として整理されているのは、事業者の名称・住所・代表者の氏名、個人データの利用目的、安全管理措置の内容、開示等の請求に応じる手続き、苦情の申出先、そして手数料を徴収する場合はその額です。共同利用を行う場合は前述の5項目も加わります。

安全管理措置については、法23条に基づく対応として7つの観点が整理されています。基本方針の策定、個人データの取扱いに係る規律の整備、組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置、そして外的環境の把握です。最後の外的環境の把握は、外国でデータを取り扱う場合に当該国の制度を把握することを指すとされ、海外拠点や海外事業者のツールを使う場合に関わってきます。

実務でよくある不足は、開示等の請求手続きの記載です。法32条1項3号と施行令の定めにより、申出先、提出すべき書面の様式、代理人による請求の確認方法、手数料の額を明示し、社内の手続きも整えておく必要があると解説されています。ポリシーに「お問い合わせください」とだけ書いてあり、実際の様式や社内フローが存在しないケースは珍しくありません。請求が来てから作るのでは間に合いません。

保有期間と削除：いつまで持つかを決める

リードデータは放置すると際限なく積み上がります。個人情報保護法は保有期間を年数で定めているわけではありませんが、利用目的の達成に必要な範囲を超えた保有は望ましくないとされ、不要になったデータは遅滞なく消去するよう努めることが求められる方向で整理されています。実務では、自社のルールとして保有期間を決めるのが現実的な対応です。

期間の決め方は、用途ごとに分けるのが扱いやすい形です。たとえば資料請求のみで接点が途絶えたリードは最終接触から3年、商談化したリードは取引記録として別の保存期間、メール配信の停止申出があった相手は配信停止の管理のために最小限の情報のみを保持する——といった整理です。期間はビジネスの実態に合わせて決め、根拠を社内文書に残しておきます。

運用面では、削除を実行する仕組みが要ります。ルールだけ決めて実行されない状態が最も多い失敗です。実務では四半期または半期ごとに保有期間を超えたレコードを抽出して確認・削除する定例作業をカレンダーに載せます。あわせて、MAツール・CRM・表計算ファイル・メール添付など、データが散在している場所をすべて洗い出して削除対象に含めることも必要です。中央のシステムだけ削除しても、担当者の手元にコピーが残っていれば意味が薄れます。

開示・利用停止請求への備え

本人からの請求には、開示（法33条）、訂正等（法34条）、利用停止・消去等（法35条）があります。請求への対応手続きは法37条および施行令で定められており、事業者は受付窓口と手続きをあらかじめ整えておく必要があります。リード獲得の文脈では、「メールを止めてほしい」「登録した情報を削除してほしい」という連絡が実質的な請求として届きます。

備えとして用意しておくものは4つです。第一に受付窓口——問い合わせ先のメールアドレスと担当部署。第二に本人確認の方法——なりすましによる開示を防ぐ手順。第三に社内の対応フロー——どのシステムを検索し、誰が確認して回答するか。第四に回答の期限目安——社内で何営業日以内に一次回答するかの基準です。

実務で難所になるのは、第三の社内フローです。リードデータがMA・CRM・表計算ファイル・過去のメールに散在していると、「保有しているすべての情報」を集める作業が現実的でなくなります。開示請求に答えられる状態は、データの保管場所が把握できている状態と同じです。請求対応の準備は、そのままデータ管理の棚卸しにつながります。窓口を作る前に、まずどこに何が入っているかの一覧を作るところから始めてください。

2026年公布の改正で何が変わるか

個人情報保護法は3年ごとの見直し規定に基づく改正が続いており、直近の改正法は2026年（令和8年）4月7日に閣議決定、同年7月10日に参議院本会議で可決・成立、2026年7月17日に公布されました。施行は公布の日から起算して2年を超えない範囲内において政令で定める日とされており、全面施行は2028年（令和10年）7月頃までと見込まれています。つまり本記事執筆時点では、実務は改正前の規律で動いており、改正内容は準備の対象という位置づけです。

報じられている主な内容は次のとおりです。第一に課徴金制度の新設——対象行為を4類型に限定し、対象となる本人の数が1,000人を超えない場合は除外されるという整理が示されています。第二に罰則の強化——不正提供罪の拘禁刑が1〜2年から2〜3年へ引き上げられ、法人等に対する罰金として1億円以下が新設されるとされています。第三に統計作成やAI開発等でのデータ利用について同意取得要件が緩和される一方で、公表義務が課される方向です。

加えて、顔認証データ等の特定生体個人情報について周知義務の新設とオプトアウト提供の禁止、16歳未満のこどもの個人情報について原則として法定代理人の同意を必要とする規律、連絡可能な個人関連情報の不正な取得・利用の禁止、オプトアウト提供時の提供先確認義務などが挙げられています。リード獲得の実務に直接効くのは、課徴金・罰則の強化と、AI・統計利用の扱いです。施行までに、自社が保有するデータ量と利用目的の記載を点検しておくのが現実的な準備になります。改正の詳細な解釈は今後のガイドライン改定で明確になる部分も残るため、最新の公表資料を確認してください。

よくある失敗：フォーム周りのNG

最後に、リード獲得フォームで実際に見かける問題を挙げます。いずれも設計の段階で避けられるものです。

• 「プライバシーポリシーに同意する」のチェックだけがあり、フォーム上に利用目的が一切書かれていない
• メールマガジン受信の同意が初期状態でチェック済みになっており、本人が意識せず同意した状態になる
• 利用規約とプライバシーポリシーを1つのチェックボックスでまとめて同意させ、何に同意したのかが特定できない
• 共催セミナーの申込フォームで、共催者へ提供することが書かれていない（提供先名も提供項目も不明）
• プライバシーポリシーを改定したのに、いつどの版に同意したかの記録がなく、過去の同意の範囲が辿れない
• 問い合わせ内容の自由記述欄に機微な情報が書かれることを想定しておらず、取り扱いのルールがない

最後の項目は見落とされやすい論点です。自由記述欄には、想定外の情報が書き込まれることがあります。自由記述欄の内容がどのシステムに保存され、誰が閲覧できるかを把握しておくことが必要です。あわせて、記述欄の案内文で「機微な情報はご記入をお控えください」と一言添えるだけでも、リスクは下がります。

生成AIを使うときの注意：入力データと外部送信

リード対応に生成AIを使う場面は増えていますが、個人情報を含むデータを外部のAIサービスへ入力する行為には整理が必要です。論点は2つあります。第一に、その利用が自社の公表した利用目的の範囲に収まっているか。第二に、AIサービス提供者との関係が委託にあたるのか、それ以外の提供にあたるのかです。

委託と整理できるのは、提供先が自社の利用目的の範囲内でのみデータを扱い、独自の目的では使わない場合とされています。したがって、入力データを提供者側の学習に使わない設定になっているか、契約上どう定められているかが判断の材料になります。事業者向けプランで学習に利用しない旨が定められているサービスと、無料の一般向けサービスでは前提が異なります。使うサービスの利用規約とデータ取扱いの記載を確認するのが最初の作業です。

安全側の運用としては、個人が特定できる情報を入力しないという線を引くのが簡単で確実です。文章の下書き、メール文面の作成、アンケート結果の分類といった作業は、氏名や会社名を仮名やダミーに置き換えれば成立します。個人情報を含めた処理が必要な場面だけを切り出して、契約と設定を確認したサービスに限定する。この二段構えにしておくと、日常業務での判断が迷いにくくなります。なお、改正法では統計作成やAI開発等での利用について同意要件の緩和が示されていますが、公表義務が課される方向であり、施行後の詳細はガイドラインの確認が必要です。

実務仕様：フォーム同意まわりの設定値一覧

最後に、フォームを実装・見直しするときの設定値を一覧にまとめます。社内の実装担当やフォームツールの設定画面に、そのまま渡せる粒度で整理しています。自社の事業内容によって適否は変わるため、導入前に法務や専門家の確認を受けてください。

• フォーム上に利用目的の要約を掲載（送信ボタンの直上、折りたたみにしない）
• プライバシーポリシーへのリンクを同意文の直近に配置（新規タブで開く／該当箇所へアンカー）
• プライバシーポリシー同意のチェックボックス：必須・初期状態は未チェック
• メール配信の受信同意のチェックボックス：任意・初期状態は未チェック・配信停止方法を併記
• 第三者提供の同意チェックボックス：該当時のみ表示・提供先名／提供項目／提供先の利用目的を明示
• 取得項目は用途があるものに限定（役職・電話番号などは必要性を都度判断）
• 自由記述欄に「機微な情報の記入はお控えください」の案内文を添える
• 送信データに同意日時・ポリシーのバージョン・取得経路（フォーム名／流入元）を記録
• 自動返信メールにも利用目的の要約と問い合わせ窓口を記載
• 保有期間のルールを用途別に定め、定例の削除作業をカレンダーに登録
• 開示等の請求の受付窓口・様式・本人確認方法・社内フローを整備
• ポリシー改定時は改定履歴を残し、改定日以降の同意記録と紐づけられる状態にする

この一覧のうち、既存フォームで最も抜けているのは8番目の同意記録の保存です。フォームツールの標準機能では、チェックボックスの状態が保存されない設定になっていることがあります。設定を確認し、保存されない仕様であれば、隠しフィールドにポリシーのバージョンを入れるなどの回避策を実装してください。

まとめ

リード獲得の個人情報対応は、チェックボックスから始めると順序を誤ります。法が最初に求めているのは利用目的の特定（法17条）と取得時の通知・公表（法21条1項）で、同意はその上に乗る手当てです。同意が必須になるのは第三者提供（法27条1項）、目的外利用（法18条）、要配慮個人情報の取得など場面が限定されます。共催セミナーや展示会でリードを共有するなら、第三者提供として個別に同意を取るか、共同利用として5項目を事前に公表するかの二択で、後者はポリシーの改定が先です。プライバシーポリシーには法32条1項が求める項目——事業者情報・利用目的・安全管理措置・開示等の請求手続き・苦情の申出先——を揃え、保有期間と削除の定例作業、開示請求の受付フローまで用意しておく。2026年7月17日に公布された改正法は公布から2年以内の施行が予定され、課徴金と罰則の強化、AI・統計利用の同意要件の緩和が含まれます。正しく預かる仕組みは、フォーム1本の設計から始まる——本記事の一覧を手元のフォームと突き合わせ、最終的な判断は専門家に確認しながら整えてください。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。